凌晨两点，云服我盯着终端里滚动的内网报错日志，咖啡杯沿凝着水珠。穿透那台部署在阿里云上的云服测试服务器，怎么也连不上本地数据库。内网防火墙规则改了又改，穿透安全组策略加了又加，云服最后发现，内网问题出在“内网”这两个字上——云服务器和我的穿透笔记本，根本不在同一个网络里。云服

云服务器的内网“内网IP”是个幌子。它只在云厂商的穿透数据中心内部有效，比如`172.16.0.5`这种地址，云服出了那栋机房大楼就没人认得。内网你要访问它，穿透得走公网IP，但公网IP是稀缺资源，通常绑定在负载均衡或NAT网关上。而你的本地服务，比如跑在`localhost:3306`的MySQL，云服务器想连它，就像隔着太平洋喊话，声音再大也传不过去。

内网穿透干的活，就是在这两个互不相干的网络之间，凿一条隧道。常见工具是frp或ngrok。原理不复杂：你在一台有公网IP的机器上跑一个服务端，本地跑一个客户端，客户端主动向服务端发起连接，保持长连接。云服务器要访问你的本地端口时，数据先发给服务端，服务端顺着这条隧道转发给本地客户端，再送到你指定的端口上。

我试过用frp把家里的树莓派暴露到公网。配置文件写得像咒语：

[ssh] type = tcp local_ip = 127.0.0.1 local_port = 22 remote_port = 6000 

服务端跑在腾讯云上，客户端跑在树莓派里。启动后，从任何地方`ssh -p 6000 user@腾讯云IP`，就能连进家里的树莓派。那一刻有种奇妙的错觉——仿佛那台小盒子就插在云服务器的USB口上。

但穿透不是免费的午餐。隧道带宽受限于你本地的上行速度。我家宽带上传只有30Mbps，传个大文件就卡成幻灯片。延迟也感人，每次按键都要等上200毫秒，像是隔着毛玻璃操作远程桌面。更麻烦的是稳定性，运营商的NAT超时机制会掐断空闲连接，你得在客户端里配置心跳包，每30秒发个空数据包保活。

有回我图省事，直接在公网服务器上开了端口转发，没设认证。三天后日志里全是扫描器的爆破记录——有人试图用root/123456登录我的树莓派。吓得我赶紧加了token验证，把端口从默认的6000改成随机高位端口。安全这回事，偷懒一时爽，出事火葬场。

后来我干脆换了思路：用云服务器当跳板，直接跑VPN。在云上部署WireGuard，本地和服务器组成虚拟局域网。这样云服务器能稳定访问我笔记本上的服务，延迟比frp低不少，还自带加密。代价是配置复杂些，得维护密钥对，但胜在干净利落——不需要额外跑一个穿透进程，所有流量都走系统级隧道。

说到底，内网穿透是个“不得已而为之”的方案。云厂商本来就不希望你绕过安全组直接暴露内部服务。但现实里总有临时需求：调试微信回调、演示Demo给客户看、或者像我这样半夜连数据库。工具本身没有善恶，关键看你怎么用。至少现在，我能在被窝里用手机连上家里的NAS，翻翻旧照片，而不是裹着外套蹲在机房地板上插网线。